DraftBot-A-Discord-Adventure / DraftBot

A Discord adventure bot that speaks english and french
MIT License
223 stars 61 forks source link

[BUG]: Le bot de pre-release peut influencer la database du bot officiel #2217

Open romain22222 opened 1 year ago

romain22222 commented 1 year ago

Description du bug.

Via une migration, il est possible de tout simplement affecter la database du bot officiel en spécifiant tout simplement son nom dans la requete sql.

Au mieux, la requete plante et on prie les dieux Au pire, on supprime la totalité du bot, en mettant les token discord des joueurs dans la nature

Selon vous, quelle est l'importance de ce bug ?

😱 Extrêmement grave

Reproduction du bug.

Soumettre une pull request vers develop Faire en sorte qu'elle soit acceptée Cette dite pull request contient une migration avec une requete malveillante La pull request acceptée relance la construction du build du docker de la pre release Au relancement du bot de pre release, la nouvelle migration corrompue modifie la base de données du bot officiel, pouvant ainsi faire ce qu'elle veut, sans limite, AUCUNE !

Captures d'écran

Pas la peine, c'est du back

Sur quel shard avez vous rencontré le bug ?

Tous

BastLast commented 1 year ago

je pense qu'on ne touchera pas à ça avant un moment (surtout avec la v5) donc je change la milestone